BankGhost Builder

Kibernetinio saugumo tyrėjai atskleidė „Telegram“ platformoje skleidžiamą reklamą, reklamuojančią „BankGhost Builder“ – sudėtingą kenkėjiškų programų kūrimo platformą, sukurtą bankininkystės Trojos arkliams generuoti su integruotu komandų ir kontrolės (C2) valdymu, sukčiavimo apsimetant mechanizmais ir sukčiavimui skirtomis galimybėmis. Pranešama, kad kūrimo priemonė platinama per pogrindines „Telegram“ bendruomenes, o tai sustiprina susirūpinimą dėl spartaus kenkėjiškų programų kaip paslaugos (MaaS) operacijų augimo.

Kenkėjiškų programų platformą parduoda su „Telegram“ susijusi grėsmių grupė, žinoma kaip „Infrastructure Destruction Squad“ (IDS), dar vadinama „Dark Engine“. Jos reklama kibernetinių nusikaltimų ekosistemose rodo aktyvias pastangas komercializuoti pažangių kenkėjiškų programų kūrimą ir padaryti finansinius kibernetinius nusikaltimus prieinamesnius mažiau techniškai įgudusiems veikėjams.

Infrastruktūros naikinimo būrys plečia požeminę įtaką

Infrastruktūros naikinimo būrys (angl. Infrastrukture Destruction Squad) išryškėjo 2025 m. pabaigoje ir visus 2026 m. išliko viena iš labiausiai nerimą keliančių kibernetinių grėsmių. Kitaip nei daugelis prorusiškų programišių grupuočių, kurios daugiausia remiasi ardomosiomis paskirstytomis paslaugų teikimo trikdymo (angl. DDoS) atakomis, IDS sulaukė dėmesio dėl tariamų įsilaužimų, susijusių su pramonės valdymo sistemomis (ICS) ir SCADA aplinkomis.

Ši grupė taip pat buvo siejama su pogrindine veikla, apimančia įžeidžiančių įsilaužimo įrankių propagavimą ir pavogtų duomenų bei nutekintos informacijos skelbimą. Grupė, turinti daugiau nei 1600 prenumeratorių „Telegram“ platformoje, prisideda prie spartesnio sudėtingų kibernetinių grėsmių plitimo, supaprastindama prieigą prie pažangių atakų galimybių.

„BankGhost Builder“ sujungia kenkėjiškų programų diegimo ir sukčiavimo operacijas

„BankGhost Builder“ reklamuojama kaip išsami bankų kenkėjiškų programų sistema, galinti palaikyti visą kibernetinių atakų gyvavimo ciklą. Reklaminėje medžiagoje teigiama, kad platforma teikia palaikymą daugiau nei 700 bankų įstaigų Indijoje, Šiaurės Amerikoje, Europoje ir Azijos bei Ramiojo vandenyno regione.

Kūrimo programa integruoja naudingosios apkrovos generavimą, sukčiavimo apsimetant infrastruktūra, C2 diegimą ir sukčiavimo vykdymą į vieną ekosistemą. Pranešama, kad jos funkcijų rinkinys apima polimorfinį šifravimą, procesų maskavimą ir naudingosios apkrovos įterpimo metodus, skirtus išvengti aptikimo tradicinėmis saugumo priemonėmis. Be to, kenkėjiška programa palaiko kelis ryšio kanalus, įskaitant HTTPS, DNS per HTTPS, Tor ir WebSocket protokolus.

Platformoje taip pat yra tiesioginio sukčiavimo prevencijos funkcijos, tokios kaip kredencialų rinkimas, sesijos užgrobimas, interneto injekcijos ir metodai, skirti apeiti dviejų veiksnių autentifikavimo apsaugą. Šios funkcijos labai panašios į tas, kurios siejamos su gerai žinomomis bankininkystės kenkėjiškų programų šeimomis, įskaitant „Zeus“, „Dridex“ ir „TrickBot“, tačiau dabar jos supakuotos į lengviau diegiamą kūrimo formatą.

Mažesnės patekimo į rinką kliūtys didina finansų sektoriaus riziką

„BankGhost Builder“ atsiradimas atspindi nuolatinę kibernetinių nusikaltimų industrializaciją, kai pažangios puolimo galimybės yra pakuojamos, parduodamos ir platinamos dideliu mastu. Jos modulinė architektūra ir pritaikoma naudingosios apkrovos generavimo sistema sumažina priklausomybę nuo statinių kompromitacijos rodiklių, todėl gynėjams sunkiau priskyrimo ir aptikimo pastangas.

Saugumo analitikai įspėja, kad plačiai paplitęs tokių įrankių prieinamumas greičiausiai paspartins keletą pagrindinių grėsmių tendencijų, įskaitant:

Padidėjusios sukčiavimo apsimetant vykdomos kenkėjiškų programų kampanijos, nukreiptos prieš bankų klientus ir darbuotojus
Daugėjantys sąskaitų perėmimo (ATO) incidentai ir sudėtingesnės lokalizuotos sukčiavimo operacijos

Šie pokyčiai galėtų gerokai išplėsti kibernetinių nusikaltėlių grupuočių, kurios anksčiau neturėjo pakankamai patirties savarankiškai vykdyti pažangių bankinių atakų, veiklos aprėptį.

Finansų įstaigos raginamos stiprinti gynybines strategijas

Siekiant sušvelninti augančią grėsmę, kurią kelia pažangūs bankų kenkėjiškų programų kūrėjai, finansų įstaigos raginamos taikyti žvalgybos duomenimis pagrįstas ir į elgesį orientuotas saugumo strategijas. Rekomenduojamos gynybos priemonės apima:

• Nenormalaus procesų vykdymo, iškarpinės manipuliavimo ir ekrano kopijų elgsenos stebėjimas naudojant elgsenos analizę
• Įtartinų užšifruoto srauto modelių, įskaitant DNS per HTTPS ir „Tor“ ryšius, aptikimas
• Griežtų el. pašto saugumo kontrolės priemonių, tokių kaip priedų „smėlio dėžės“ taikymas ir didelės rizikos failų tipų, įskaitant MSI, DLL ir EXE failus, apribojimai, vykdymas
• Sukčiavimo prevencijos programų tobulinimas taikant įrenginių pirštų atspaudus, operacijų anomalijų aptikimą ir pažangų elgesio stebėjimą

Proaktyvi ir daugiasluoksnė gynybos strategija išlieka labai svarbi, nes pogrindinės kibernetinių nusikaltėlių bendruomenės ir toliau spartina sudėtingų kenkėjiškų programų platformų, tokių kaip „BankGhost Builder“, diegimą ir platinimą.